Вредоносный мем Check Point Research обнаружили кампанию с забытым в рунете мемом «Yoba». Приманка тут десктопные приложения GPT-5.6 Sol, GPT-6 Astra и Claude Opus, которые выкладываются как поддельные GitHub-проекты. С накруткой звезд или форками атакующие не запаривались, использовали старую добрую SEO-оптимизацию. Основная техника тут DLL sideloading. Внутри архива лежит легитимный подписанный исполняемый файл OpenAI или Anthropic (Setup.exe), рядом с которым размещена вредоносная winmm.dll. Dropper в ней содержит 180 экспортов, но только DllEntryPoint несет реальный код, остальные экспорты заменены на заглушки. Перед запуском полезной нагрузки dropper проверяет не в песочнице ли он (по хешу DJB2). Если проверка не проходит, DLL улетает в режим ожидания примерно на 12 дней, имитируя безвредное поведение. Дополнительно проверяется раскладка клавиатуры, чтобы исключить системы в странах СНГ, причем украинский ID обрабатывается отдельно. Также вредонос поселяется в System32. Затем через планировщика задач создается задание с автором Microsoft Corporation и описанием о сборе метаданных для Windows Media Player, которое запускается от Local System с задержкой в три минуты после старта системы. Потом во второй стадии еще раз проверка на песочницу от другого exe. Причем обе стадии ищут нужные функции Windows не по названиям, а по числам, которые получаются из названий. Но и считают они эти числа с разными начальными значениями. Поэтому одна и та же функция в первой и второй стадии даст разные числа. И это мощно так запутывает форензику. Сеть при этом строится, как сейчас модно без C2, загрузчик расшифровывает URL Telegram-канала t[.]me/yoba_fanclub (создан 15 мая), скачивает изображение профиля и берет его последние 50 байт как сид для DGA. Домен генерируется по шаблону adjective-noun-verb-digit.dedyn[.]io, поэтому смена аватарки канала автоматически меняет управляющий домен. Запросы летят через DNS over HTTPS к dns.google. Будто этого было мало загрузчик еще выстраивает новый svchost.exe (как в старые добрые), где вредонос работает через локальный Tor SOCKS5-прокси с TLS на onion-адрес и майнит. Разумеется там прикручены все необходимые паузы для скрытности. А вообще YobaLoader может загрузить потом любой другой PowerShell-загрузчик, не только майнер. Забавно, конечно, что забытый мем из древнего рунета всплыл в отчете уважаемых исследователей. Да и сам вредонос выполнен достойно. @antiinfosec